KYC Remediation in Luxemburg: Was die AMLR 2027 verlangt

Mehr zur KI-Implementierung in Luxemburg und dazu, wie dieselben Kontrollen für KI in Luxemburger Family Offices gelten.

Die meisten Luxemburger Berufsträger, mit denen ich spreche, haben zu jedem Kunden eine KYC-Akte. Deutlich weniger haben Akten, die einem Prüfer mit drei Fragen standhalten: Wer sind heute genau die wirtschaftlichen Eigentümer, wann wurde diese Akte zuletzt gegen die Sanktionslisten geprüft, und wo ist der Nachweis? Akten, die vor Jahren angelegt wurden, folgen den Regeln von damals, und viele wurden nur angefasst, wenn etwas schiefging.

Ich leite bei 20 More Projekte zur Dokumenten- und Compliance-Automatisierung. Dieser Leitfaden zeigt, was die AMLR ändert, wer in Luxemburg wen beaufsichtigt, und die Methode, die ich für die Bereinigung empfehle: ein Datenmodell pro Kundenakte, eine Lückenliste und Automatisierung für die wiederkehrenden Teile. Das sind praktische Hinweise, keine Rechtsberatung; die Vorgaben Ihrer Aufsicht und Ihre eigene Geldwäsche-Richtlinie haben Vorrang.

Ab wann gilt die AMLR, und was ist sie?

Die Verordnung (EU) 2024/1624 wurde am 31. Mai 2024 angenommen, ist am 9. Juli 2024 in Kraft getreten und gilt ab dem 10. Juli 2027; für Fußballvereine und Spielervermittler gilt sie ab dem 10. Juli 2029 (Artikel 90, EUR-Lex). Sie ist eine Verordnung, keine Richtlinie: Ihre Sorgfaltspflichten gelten in jedem Mitgliedstaat so, wie sie geschrieben sind, und die Richtlinie (EU) 2015/849 wird zum selben Datum aufgehoben (EUR-Lex Zusammenfassung).

Dazu kommt eine neue EU-Behörde. Die AMLA, die Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung, sitzt in Frankfurt und hat ihre Tätigkeit Mitte 2025 aufgenommen (AMLA). Ab 2028 wird sie eine begrenzte Zahl großer grenzüberschreitender Finanzgruppen direkt beaufsichtigen (AMLA). Eine Luxemburger Fiduciaire oder Buchhaltungskanzlei gehört nicht dazu: Ihre Aufsicht bleibt national, aber das Regelwerk, das sie anwendet, wird europäisch. Die CSSF hat eine eigene Übersicht zum Paket veröffentlicht (CSSF).

Was ändert sich für eine KYC-Akte am 10. Juli 2027?

In dieser Tabelle stehen nur Punkte, die ich in den amtlichen Texten bestätigen konnte.

Zwei Details sind für die Planung wichtig. Erstens sieht der Entwurf des technischen Standards der AMLA zu den Sorgfaltspflichten vor, dass Akten bestehender Kunden risikobasiert angepasst werden, innerhalb eines Jahres bei Kunden mit höherem Risiko und innerhalb von fünf Jahren bei allen anderen, gerechnet ab Geltung dieses Standards (AMLA Abschlussbericht, RTS-Entwurf Artikel 28(1)). Bis zur Annahme durch die Kommission bleibt das ein Entwurf: Planen Sie nicht nach der genauen Frist, sondern nach dem Prinzip, also Hochrisiko-Akten zuerst. Zweitens halten die Erwägungsgründe desselben Entwurfs fest, dass die Einsicht in ein Register wirtschaftlicher Eigentümer notwendig, aber nicht ausreichend ist, um die wirtschaftlichen Eigentümer zu überprüfen. Eine Kopie des RBE-Auszugs allein schließt keine Akte ab.

Wer ist in Luxemburg betroffen, und wer beaufsichtigt wen?

Das Gesetz von 2004 teilt die Aufsicht zwischen Aufsichtsbehörden und Selbstverwaltungseinrichtungen auf (Artikel 2-1, Legilux). Die AMLR behält diese nationale Struktur bei.

Dienstleister für Gesellschaften und Treuhandverhältnisse müssen sich zudem bei der Aufsichtsbehörde oder Selbstverwaltungseinrichtung registrieren, der sie unterstehen (AED). Seit dem 1. Oktober 2024 verfügt die AED über eine eigene Einheit für Vor-Ort-Kontrollen im Bereich Geldwäsche (AED).

Kann man sich noch auf das RBE verlassen?

Nutzen ja, sich darauf ausruhen nein. Nachdem der Gerichtshof der EU am 22. November 2022 in den verbundenen Rechtssachen C-37/20 und C-601/20 entschieden hatte, dass der allgemeine öffentliche Zugang zu Registern wirtschaftlicher Eigentümer gegen die Grundrechtecharta verstößt (EuGH-Pressemitteilung), setzte Luxemburg den öffentlichen Zugang zum Registre des bénéficiaires effectifs aus. Ab dem 16. Dezember 2022 wurde der Zugang für Berufsträger nach dem Gesetz von 2004 wiederhergestellt, die ihn bei Luxembourg Business Registers beantragen, sowie für Journalisten über den Presserat (Luxemburger Regierung).

In der Praxis: Beantragen Sie den beruflichen Zugang, falls noch nicht geschehen, speichern Sie jede RBE-Abfrage mit Datum, und vergleichen Sie sie mit den Angaben des Kunden und dem RCS-Auszug. Wo sie voneinander abweichen, ist die Abweichung selbst ein Befund für die Akte.

Wie sieht ein KYC-Remediation-Projekt aus?

Projekte, die funktionieren, behandeln die Bereinigung zuerst als Datenthema und erst danach als Papierthema. Diese Schritte empfehle ich.

1. Nach Risiko abgrenzen. Exportieren Sie die Kundenliste mit aktueller Risikoeinstufung und Datum der letzten Prüfung. Hochrisiko-Akten, nie geprüfte Akten und Kunden mit komplexen Beteiligungsketten bilden die erste Welle.
2. Ein Datenmodell pro Akte festlegen. Jede Akte beantwortet dieselben Felder (Tabelle unten). Ein Feld, das sich nicht füllen lässt, ist eine Lücke, keine Ermessensfrage.
3. Lückenanalyse durchführen. Vergleichen Sie jede Akte mit dem Modell und mit der Liste der AMLR. Ergebnis ist eine Liste pro Akte: fehlendes Dokument, abgelaufener Ausweis, Beteiligungskette nicht bis zu natürlichen Personen verfolgt, kein Nachweis zur Herkunft des Vermögens, Screening älter als Ihre Richtlinie erlaubt.
4. Kunden in Wellen anschreiben. Eine klare Anfrage pro Kunde, die genau auflistet, was fehlt, in der Sprache des Kunden, mit Frist und Erinnerungen. Kunden, die alles auf einmal liefern sollen, liefern oft gar nichts.
5. Alle neu screenen. Prüfen Sie Kunden, wirtschaftliche Eigentümer und Zeichnungsberechtigte gegen die konsolidierte Liste der EU-Finanzsanktionen (data.europa.eu) und Ihre PEP-Quelle, und speichern Sie Ergebnis und Listenversion. Die AED veröffentlicht Hinweise zu internationalen Finanzsanktionen für die von ihr beaufsichtigten Berufsträger (AED).
6. Einen Prüfpfad führen. Für jede Akte: was geprüft wurde, gegen welche Quelle, an welchem Datum, von wem, und was entschieden wurde. Ein Prüfer liest den Pfad vor der Akte.

Das Datenmodell der Kundenakte:

Was lässt sich automatisieren, und was bleibt beim Menschen?

Meine Aufteilung ist einfach: Software liest, vergleicht und fasst nach; Menschen urteilen.

Genau das leistet unser Agent Run zur Bereinigung von KYC-Akten für einen festgelegten Aktenbestand: fester Umfang, in der EU gehostete Modelle, menschliche Freigabe jeder Änderung und ein Protokoll dessen, was geprüft wurde. Für einen dauerhaften Betrieb in Ihren eigenen Werkzeugen passt unser Service für Dokumentenverarbeitung besser. Wenn Sie KI-Werkzeuge auch unter CSSF-Aufsicht einsetzen, behandelt unser Leitfaden zu KI-Anwendungsfällen unter CSSF-Aufsicht die Governance-Seite.

Und die DSGVO?

KYC-Akten enthalten personenbezogene Daten, oft sensible: Ausweise, Familienstrukturen, Vermögen, manchmal Angaben zu Strafverfahren. Die Geldwäschegesetze liefern die Rechtsgrundlage für die Verarbeitung, aber die DSGVO gilt weiter, einschließlich der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c DSGVO, EUR-Lex).

Drei Regeln, die ich in jede Bereinigung einbaue:

• Erheben, was die Geldwäscheregeln verlangen, nicht alles, was der Kunde schickt. Jedes überflüssige Dokument in einer Akte ist ein zusätzliches Risiko.
• Die Aufbewahrungsfrist beträgt fünf Jahre nach Ende der Geschäftsbeziehung, nach dem Gesetz von 2004 (Artikel 3 Absatz 6, Legilux) ebenso wie nach der AMLR, die danach die Löschung personenbezogener Daten verlangt, sofern kein anderes Gesetz eine längere Aufbewahrung vorschreibt (Artikel 77 AMLR, EUR-Lex). Nehmen Sie das Enddatum der Geschäftsbeziehung ins Datenmodell auf, damit die Löschung planbar wird.
• Wissen, wo die Verarbeitung läuft. Wenn ein Werkzeug die Ausweise Ihrer Kunden liest, müssen Sie wissen, wo es gehostet ist, wer Zugriff hat und ob Daten zum Training verwendet werden. Das gehört in Ihr Verarbeitungsverzeichnis und, bei einer umfangreichen Bereinigung, in eine kurze Datenschutz-Folgenabschätzung.

Häufige Fragen

Was ist KYC Remediation?

KYC Remediation ist die Prüfung und Aktualisierung bestehender Kundenakten, damit sie den geltenden Sorgfaltspflichten entsprechen. Sie umfasst Identität, wirtschaftliche Eigentümer, Zweck der Geschäftsbeziehung, bei Bedarf Herkunft der Mittel oder des Vermögens, Risikoeinstufung und Sanktionsscreening, jeweils mit Nachweis. In Luxemburg wird sie derzeit von der EU-Geldwäscheverordnung angetrieben, die ab dem 10. Juli 2027 gilt.

Ab wann gilt die AMLR in Luxemburg?

Die Verordnung (EU) 2024/1624 gilt ab dem 10. Juli 2027 in allen Mitgliedstaaten, auch in Luxemburg, ohne nationale Umsetzung (Artikel 90, EUR-Lex). Nur für Fußballvereine und Spielervermittler gilt der 10. Juli 2029. Luxemburger Aufsichtsstellen wie CSSF, AED und OEC beaufsichtigen ihre Berufsträger weiterhin, dann nach den neuen Regeln.

Müssen Buchhalter und Treuhänder in Luxemburg KYC durchführen?

Ja. Experts-comptables sind Verpflichtete nach dem Gesetz vom 12. November 2004 und werden in Geldwäschefragen vom Ordre des experts-comptables beaufsichtigt; andere Buchhalter und Steuerberater unterstehen der AED (AED-Leitfaden). Treuhänder, die Dienstleistungen für Gesellschaften und Treuhandverhältnisse erbringen, sind ebenfalls verpflichtet. Alle müssen Kunden und wirtschaftliche Eigentümer identifizieren und überprüfen, das Risiko bewerten und die Akten aktuell halten.

Wie oft müssen KYC-Akten nach der AMLR geprüft werden?

Die AMLR legt Höchstfristen fest: mindestens einmal jährlich bei Kunden mit verstärkten Sorgfaltspflichten und mindestens alle fünf Jahre bei allen anderen (Artikel 26 AMLR). Eine Akte ist außerdem zu prüfen, wenn sich relevante Umstände beim Kunden ändern, etwa ein neuer wirtschaftlicher Eigentümer. Ihre Risikobewertung kann und sollte oft kürzere Abstände vorsehen.

Lassen sich KYC-Prüfungen automatisieren?

Ein großer Teil der Arbeit ja: Dokumente lesen, Daten extrahieren, Beteiligungsketten aus Registerauszügen aufbauen, Sanktions- und PEP-Screening, Lückenberichte und Kundenerinnerungen. Die Risikoeinstufung, die Entscheidung über Annahme oder Fortführung einer Kundenbeziehung und jede Verdachtsmeldung bleiben menschliche Entscheidungen. Ein gutes System protokolliert jeden automatisierten Schritt, sodass die Aufsicht ihn nachvollziehen kann.

Wenn Sie wissen möchten, wie lange die Bereinigung Ihrer Akten dauern würde, schicken Sie uns eine kurze Beschreibung Ihres Kundenstamms und Ihres aktuellen KYC-Prozesses.